Behåll etablerad returtrafik för SSH:s utgående SOCKS-anslutningar
En SSH-inloggning kan överleva medan serverns brandvägg släpper svar från webbplatser som anländer på efemära lokala portar.
Om surfning via SOCKS går sönder efter ändringar i SSH-serverns brandvägg, bedöm inte hela vägen utifrån det överlevande SSH-skalet. Servern öppnar separata TCP-anslutningar till målet för dynamisk vidarebefordran.
Deras svar anländer på efemära portar som servern väljer. En policy som bara tillåter ny inkommande trafik till SSH-tjänsten kan släppa dessa paket om inte etablerad trafik godtas.
I en befintlig IPv4 iptables-regeluppsättning är anslutningstillståndsfragmentet:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTPlacera det före en matchande avslutande drop/reject. Det släpper igenom spårad returtrafik, inte varje ny anslutning till en hög port.
Använd den släppta tuple:n och tillståndet för att verifiera orsaken. OUTPUT måste tillåta den vidare anslutningen, och IPv6-vägar behöver sina tillämpliga regler. SOCKS-förhandling, SSH-transport och måltrafik är separata steg att granska.